dignajar/another-ldap-auth

Another LDAP Authentication

Another LDAP Authentication 是为 Nginx、Nginx Ingress Controller（Kubernetes）、HAProxy（通过 https://github.com/TimWolla/haproxy-auth-request%EF%BC%89%E6%88%96%E4%BB%BB%E4%BD%95%E5%9F%BA%E4%BA%8E%E5%AD%90%E8%AF%B7%E6%B1%82%E7%BB%93%E6%9E%9C%E8%BF%9B%E8%A1%8C%E6%8E%88%E6%9D%83%E7%9A%84Web%E6%9C%8D%E5%8A%A1%E5%99%A8/%E5%8F%8D%E5%90%91%E4%BB%A3%E7%90%86%E6%8F%90%E4%BE%9B%E7%9A%84 LDAP认证 解决方案。

该项目实现了Nginx官方博客 这篇文章 中描述的 ldap-auth-daemon 服务，可在Docker容器中运行，也可直接运行Python脚本。

![codebeat badge]([***]

核心功能与特性

• 支持 ldap 和 ldaps 协议
• 提供用户和组缓存机制，可设置缓存过期时间（分钟）
• 支持组验证，包括正则表达式匹配组
• 支持自签名证书的TLS加密
• 支持通过HTTP头或环境变量进行配置
• 提供包含用户名和匹配组的HTTP响应头
• 暴力破解防护功能
• 支持纯文本或JSON格式日志

架构图

!Another LDAP Authentication

配置参数说明

参数可通过环境变量或HTTP头传递，也可组合使用。

LDAP_SEARCH_FILTER 参数支持用户名变量扩展，例如 (sAMAccountName={username}) 中的 {username} 会被登录表单中的用户名替换。

LDAP_BIND_DN 参数支持用户名变量扩展，例如 {username}@TESTMYLDAP.com 或 UID={username},OU=PEOPLE,DC=TESTMYLDAP,DC=COM 中的 {username} 会被登录表单中的用户名替换。

所有参数值类型均为 string。

环境变量

HTTP请求头

通过HTTP头传递的变量优先级高于环境变量。

• Ldap-Endpoint
• Ldap-Manager-Dn-Username
• Ldap-Manager-Password
• Ldap-Bind-DN
• Ldap-Search-Base
• Ldap-Search-Filter
• Ldap-Allowed-Users
• Ldap-Allowed-Groups
• Ldap-Allowed-Groups-Case-Sensitive
• Ldap-Allowed-Groups-Conditional

HTTP响应头

• x-username：包含已认证的用户名
• x-groups：包含用户匹配的组

安装与配置

使用 Another LDAP Authentication 的简便方法是通过Docker容器运行，并通过环境变量设置参数。

步骤1 - 运行Docker容器

根据实际环境修改环境变量：

bash
docker run -d \
    -e LDAP_ENDPOINT='ldaps://testmyldap.com:636' \
    -e LDAP_MANAGER_DN_USERNAME='CN=john-service-user,OU=Administrators,DC=TESTMYLDAP,DC=COM' \
    -e LDAP_MANAGER_PASSWORD='MasterpasswordNoHack123' \
    -e LDAP_BIND_DN='{username}@TESTMYLDAP.COM' \
    -e LDAP_SEARCH_BASE='DC=TESTMYLDAP,DC=COM' \
    -e LDAP_SEARCH_FILTER='(sAMAccountName={username})' \
    -e LOG_FORMAT='JSON' \
    -p 9000:9000 \
    --name another_ldap_auth \
    dignajar/another-ldap-auth:latest

Another LDAP Authentication 现在运行在 http://localhost:9000。

通过curl测试：

bash
curl -vvv http://localhost:9000 -u diego:mypassword

ALDAP输出示例：

json
{"date": "2021-05-21 10:06:52", "level": "INFO", "objectName": "Cache", "ip": "192.168.0.10", "referrer": null, "message": "User not found in the cache.", "username": "diego"}
{"date": "2021-05-21 10:06:52", "level": "INFO", "objectName": "Aldap", "ip": "192.168.0.10", "referrer": null, "message": "Authenticating user.", "username": "diego", "finalUsername": "diego"}
{"date": "2021-05-21 10:06:53", "level": "INFO", "objectName": "Aldap", "ip": "192.168.0.10", "referrer": null, "message": "Authentication successful.", "username": "diego", "elapsedTime": "0.22335"}
{"date": "2021-05-21 10:06:53", "level": "INFO", "objectName": "Cache", "ip": "192.168.0.10", "referrer": null, "message": "Adding user to the cache.", "username": "diego"}
192.168.0.10 - - [21/May/2021 10:06:53] "GET / HTTP/1.1" 200 -

可通过环境变量 LDAP_HTTPS_SUPPORT="enabled" 启用Flask的自签名证书支持。

步骤2 - Nginx配置

Nginx使用 ngx_http_auth_request_module 模块处理子请求。

以下示例配置与 Another LDAP Authentication 运行在同一台机器的Nginx，后端 /private/ 通过子请求 /another_ldap_auth 进行认证：

nginx
location /private/ {
    auth_request /another_ldap_auth;
    # ...
    # 此处配置私有站点
}

location = /another_ldap_auth {
    internal;
    proxy_pass_request_body off;
    proxy_set_header Content-Length "";
    proxy_pass http://localhost:9000;
}

现在访问 http://myserver.com/private/ 时，Nginx会提示输入用户名和密码进行认证。

在Kubernetes中与Nginx Ingress Controller部署

从 /kubernetes 目录获取K8s manifest文件。

K8s manifest文件将 Another LDAP Authentication 部署在 ingress-nginx 命名空间，并在集群内通过 https://another-ldap-auth.ingress-nginx 暴露服务。

请修改manifest中的环境变量和绑定用户的secret。

在Kubernetes中运行 Another LDAP Authentication 后，可修改需要保护的应用的Ingress manifest：

yaml
---
apiVersion: extensions/v1beta1
kind: Ingress
metadata:
  name: demo-webserver
  namespace: demo
  annotations:
    nginx.ingress.kubernetes.io/auth-url: https://another-ldap-auth.ingress-nginx

    # nginx.ingress.kubernetes.io/auth-snippet: |
    #   proxy_set_header Ldap-Allowed-Groups "<某个组>";
    #   proxy_set_header Ldap-Allowed-Groups-Conditional "or";
spec:
  rules:
  - host: demo.local
    http:
      paths:
      - path: /
        backend:
          serviceName: demo-webserver
          servicePort: 80

暴力破解防护

暴力破解防护通过封锁用户IP实现，有关IP封锁的局限性请阅读以下文章：

• [***]

已知限制

• 通过头传递的参数需要转义，例如不能直接发送 $1 或 $test，因为Nginx会进行变量扩展。

v1.x到v2.x的重大变更

• LDAP_REQUIRED_GROUPS 重命名为 LDAP_ALLOWED_USERS
• LDAP_REQUIRED_GROUPS_CONDITIONAL 重命名为 LDAP_ALLOWED_GROUPS_CONDITIONAL
• LDAP_REQUIRED_GROUPS_CASE_SENSITIVE 重命名为 LDAP_ALLOWED_GROUPS_CASE_SENSITIVE
• LDAP_SERVER_DOMAIN 已移除，由 LDAP_BIND_DN 替代